Afin d’assurer un accès fiable et sécurisé à ses services en ligne et de répondre au mieux aux attentes des contribuables, la Direction Générale des Impôts du Bénin (DGI) accorde une importance particulière à la sécurité et à la disponibilité de son système d’information. Compte tenu du contexte de menaces persistantes et de l’évolution constante des risques, toute faille de sécurité pourrait avoir des conséquences majeures sur l’atteinte des objectifs stratégiques de l’institution ainsi que sur le respect de ses obligations et engagements.

Dans une démarche d’amélioration continue, la DGI souhaite évaluer l’efficacité de ses dispositifs de sécurité et leur conformité aux référentiels en vigueur (politiques, standards, bonnes pratiques, etc.). Cette évaluation vise à identifier et à mettre en œuvre, le cas échéant, des mesures préventives, détectives et correctives complémentaires permettant de maintenir un niveau de risque maîtrisé et de renforcer la résilience globale du système d’information.

1.  Objectifs et résultats attendus

Objectif général

L'objectif principal de la mission est de diagnostiquer la sécurité des applications SIGIBé et SyGMEF, et d’évaluer la conformité et l’efficacité des mesures de sécurité mises en œuvre au regard des standards et normes du domaine.

Objectif spécifique

1. Réaliser les tests de pénétration internes, externes et applicatifs de SIGIBé et SYGMeF selon des scénarios de compromission réalistes : attaques externes depuis internet (adresses IP publiques, serveurs exposés, VPN, etc.), attaques par un invité ou un utilisateur connecté au réseau interne (postes utilisateurs, serveurs internes, contrôles d’accès, annuaire, etc.), tests applicatifs (injections, failles XSS, CSRF, etc.), en vue d’identifier les failles exploitables de l’infrastructure technique, des applications, des interfaces exposées et des environnements critiques ;
2. Évaluer la robustesse des mécanismes de contrôle d'accès, de segmentation réseau, de surveillance des journaux, de chiffrement des données, ainsi que les mesures de résilience (sauvegardes, continuité d’activité, etc.) mises en place pour atténuer les impacts d’une cyberattaque ;
3. Évaluer l’alignement du dispositif de sécurité aux normes et cadres de référence reconnus : ISO/IEC 27001, COBIT, CIS Benchmark, etc.
4. Examiner les processus de gestion des incidents, des habilitations et des accès à privilèges ;
5. Formuler des mesures de sécurisation et un plan d’action hiérarchisé pour corriger les failles de sécurité et prendre en charge les risques identifiés selon la criticité.

Résultats à atteindre

Au terme de la mission du consultant, les résultats suivants sont attendus :

1. Le rapport d’audit est élaboré ;
2. Les mesures de sécurisation et le plan d’actions sont proposés pour corriger les failles de sécurité et prendre en charge les risques identifiés, hiérarchisées selon la criticité.

2.  Description de la mission

3.  Durée et calendrier des livrables

Vous trouverez la description de la mission ainsi que le calendrier des livrables attendus dans les termes de références ci joints.